Часть 3. Требования доверия к безопасности

Третья частьстандарта содержит систематизированный каталог функциональных требований доверия, которые должны быть приняты на всех этапах жизненного цикла продукта или системы ИТ для обеспечения уверенности в том, что они удовлетворяют предъявленным к ним функциональным требованиям. Стандарт определяет, что способом достижения доверия является оценка.

В качестве основных методов для проведения оценки используют:

анализ и проверку процессов и процедур;

проверку, что процессы и процедуры действительно применяются;

анализ соответствия между представлениями проекта ОО;

анализ соответствия каждого представления проекта ОО требованиям;

верификацию доказательств;

анализ руководств;

анализ разработанных функциональных тестов и полученных результатов;

независимое функциональное тестирование;

анализ уязвимостей, включающий предположения о недостатках;

тестирование проникновения.

Требования доверия строятся аналогично функциональным требованиям в виде иерархии:класс – семейство – компонент – элемент. Каждому классу присваивается уникальное имя, которое указывает на тематические разделы, на которые распространяется данный класс доверия. Имя начинается с буквы "А", за которой следуют ещё две буквы латинского алфавита, относящиеся к имени класса.

Помимо классов, определяющих требования доверия, ОК также описывают три класса требований по поддержке доверия, оценке профиля защиты и задания по безопасности.

Класс AMA (поддержка доверия) содержит 4 семейства:

план поддержки доверия (AMA_AMP);отчёт о категорировании компонентов ОО (AMA_CAT);свидетельство о поддержке доверия (AMA_EVD);анализ влияния на безопасность (AMA_SIA).

Класс APE (оценка профиля защиты) включает 6 семейств:

профиль защиты, введение ПЗ (APE_INT);профиль защиты, описание ОО (APE_DES);профиль защиты, среда безопасности (APE_ENV);профиль защиты, цели безопасности (APE_OBJ);профиль защиты, требования безопасности ИТ (APE_REQ);профиль защиты, требования безопасности ИТ, сформулированные в явном виде (APE_SRE).

Класс ASE (оценка задания по безопасности) включает 8 семейств:

задание по безопасности, введение ЗБ (ASE_INT);задание по безопасности, описание ОО (ASE_DES);задание по безопасности, среда безопасности (ASE_ENV);задание по безопасности, цели безопасности (ASE_OBJ);задание по безопасности, требования безопасности ИТ (ASE_REQ);задание по безопасности, утверждение о соответствии ПЗ (ASE_PPC);задание по безопасности, краткая спецификация ОО (ASE_TSS);задание по безопасности, требования безопасности ИТ, сформулированные в явном виде (ASE_SRE).

Требования для оценки профиля защиты и задания по безопасности также трактуются как классы доверия, структура которых подобна структуре других классов доверия. Отличие заключается лишь в отсутствии подраздела ранжирования компонентов в описаниях семейств. Причина в том, что каждое семейство имеет только один компонент и, следовательно, ранжирование отсутствует.

Особое внимание в 3-й части ОК уделено используемым оценочным уровням доверия (ОУД). ОУД образуют возрастающую шкалу, которая позволяет соотнести получаемый уровень доверия со стоимостью и возможностью достижения этой степени доверия.

В стандарте определены семь упорядоченных оценочных уровней доверия для ранжирования доверия к ОО. Они иерархически упорядочены, поскольку каждый ОУД представляет более высокое доверие, чем любой из предыдущих ОУД. Увеличение доверия от ОУД1 к ОУД7 достигается заменой какого-либо компонента доверия иерархически более высоким компонентом из того же семейства доверия (т.е. увеличением строгости, области и/или глубины оценки) и добавлением компонентов доверия из других семейств доверия (т.е. добавлением новых требований).

ОУД состоят из определённой комбинации компонентов доверия. Точнее, каждый ОУД включает не больше, чем один компонент каждого семейства доверия, а все зависимости каждого компонента доверия учтены.

Важно обратить внимание, что не все семейства и компоненты доверия и поддержки доверия включены в оценочные уровни доверия. Это не означает, что они не обеспечивают значимое и полезное доверие. Напротив, ожидается, что эти семейства и их компоненты будут рассматриваться для усиления ОУД в тех ПЗ и ЗБ, для которых они полезны.

Хотя в стандарте определены именно ОУД, можно представлять другие комбинации компонентов доверия. Для этого специально введено понятие "усиление" (augmentation), которое предполагает добавление компонентов доверия из семейств доверия, до этого не включённых в некоторый ОУД, или замену компонентов доверия в некотором ОУД другими, иерархически более высокими компонентами доверия из этого же самого семейства доверия. Вводящий усиление обязан строго обосновать полезность и дополнительную ценность добавленного к ОУД компонента доверия. ОУД может быть также расширен требованиями доверия, сформулированными в явном виде.

Таким образом, ОУД могут быть усилены и не могут быть ослаблены. Например, понятие "ОУД за исключением какого-либо составляющего его компонента доверия" не признаётся в стандарте как допустимое утверждение.

Методология и требования ОК не охватывают вопросов организации процессов оценки (сертификации и/или аттестации). Это является предметом ведения государственных органов. В нашей стране в сфере защиты информации деятельность такой системы регулируется ФСТЭК на основе выпускаемых ею руководящих документов.

   

Гостехкомиссия России вела весьма активную нормотворческую деятельность, выпуская Руководящие документы (РД), играющие роль национальных оценочных стандартов в области информационной безопасности. В качестве стратегического направления Гостехкомиссия России выбрала ориентацию на "Общие критерии".

Рассмотрим два важных Руководящих документа – Классификацию автоматизированных систем (АС) по уровню защищенности от несанкционированного доступа (НСД) и аналогичную Классификацию межсетевых экранов (МЭ).

Согласно первому из них, устанавливается девять классов защищенности АС от НСД к информации.

Каждый класс характеризуется определенной минимальной совокупностью требований по защите.

Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС.

В пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности (конфиденциальности) информации и, следовательно, иерархия классов защищенности АС.

Третья группа классифицирует АС, в которых работает один пользователь, имеющий доступ ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса – 3Б и 3А.

Вторая группа классифицирует АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранящейся на носителях различного уровня конфиденциальности.

Группа содержит два класса – 2Б и 2А.

Первая группа классифицирует многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности и не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов – 1Д, 1Г, 1В, 1Б и 1А.

Классификации межсетевых экранов — представляется принципиально важным, поскольку в нем идет речь не о целостном продукте или системе, а об отдельном сервисе безопасности, обеспечивающем межсетевое разграничение доступа.

Данный РД важен не столько содержанием, сколько самим фактом своего существования. РД получил высокую оценку не только в России, но и в мире.

Основным критерием классификации МЭ служит протокольный уровень (в соответствии с эталонной семиуровневой моделью), на котором осуществляется фильтрация информации. Чем выше уровень, тем больше информации на нем доступно и, следовательно, тем более тонкую и надежную фильтрацию можно реализовать.

Значительное внимание в РД уделено собственной безопасности служб обеспечения защиты и вопросам согласованного администрирования распределенных конфигураций.

 

Рекомендации Х.800

 

Технические спецификации X.800, появились немногим позднее "Оранжевой книги", но весьма полно и глубоко трактующей вопросы информационной безопасности распределенных систем.

Рекомендации X.800 – документ довольно обширный. Мы остановимся на специфических сетевых функциях (сервисах) безопасности, а также на необходимых для их реализации защитных механизмах.

Выделяют следующие сервисы безопасности и исполняемые ими роли:

Аутентификация. Данный сервис обеспечивает проверку подлинности партнеров по общению и проверку подлинности источника данных. Аутентификация партнеров по общению используется при установлении соединения и, быть может, периодически во время сеанса. Она служит для предотвращения таких угроз, как маскарад и повтор предыдущего сеанса связи. Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной).

Управление доступом. Обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети.

Конфиденциальность данных. Обеспечивает защиту от несанкционированного получения информации. Отдельно упомянем конфиденциальность трафика (это защита информации, которую можно получить, анализируя сетевые потоки данных).

Целостность данных подразделяется на подвиды в зависимости от того, какой тип общения используют партнеры – с установлением соединения или без него, защищаются ли все данные или только отдельные поля, обеспечивается ли восстановление в случае нарушения целостности.

Неотказуемость (невозможность отказаться от совершенных действий) обеспечивает два вида услуг: неотказуемость с подтверждением подлинности источника данных и неотказуемость с подтверждением доставки. Побочным продуктом неотказуемости является аутентификация источника данных.

В следующей таблице указаны уровни эталонной семиуровневой модели OSI, на которых могут быть реализованы функции безопасности. Отметим, что прикладные процессы, в принципе, могут взять на себя поддержку всех защитных сервисов.